Problème avec le site Arfooo !

[Annubel]

Bonjour


Bizzard cette histoire je pense que vous faite erreur

Arf est quelqu'un de super honnête et ne ferais certainement pas de telle chose il s'occupe de mon site réguliairement et gratuitement sans jamais rien me demander. pourtant mon site est quand meme Assez Connu aussi....

Vous devriez peuêtre vérifier les failles de sécurité cher votre hébergeures ou votre personnelle.....


Cordialement
Xavier Gérard

[aras]

Bonsoir !

Nous ne faisons pas d'erreurs dans le sens ou à aucun moment nous n'avions dit que Arf était le responsable de cet acte.

je suis venu ici car il est concerné voilà tout, le site qui apparait est le sien.
Par conséquent, je viens m'adresser a lui ! Si c'était mon site dans cette position qui ait été insérer sur un annuaire de façon frauduleuse, je me ferai du soucis car comme il en est le cas, parfois, on tombe sur un poisson plus gros que soit.

Convenez qu'il faut trouver une solution, un responsable, pour moi, comme pour Arf qui du coup est malgré lui embarqué.

Voilà, je cherche, nous cherchons des réponses et rien de plus.

Bonne soirée a tous,
Aras

[Arf]

Bonsoir,

Il faut vérifier si des failles de sécurité existe sur le site où s'est produit la modification des sites.
Sachant que j'ai parlé de faille de sécurité sur le forum freeglobes, une personne peut être mal attentionné profite de ça pour me faire passer pour le dindon de la farce.

Oui y en a pas mal qui peuvent pas me voir en peinture, c'est ça quand on donne gratuitement, on détruit le buisness de certains...

Avec un reverse DNS il est relativement simple de trouver la liste de mes sites, je ne suis pas du genre à me cacher, j'en vois aucunement l'intérêt
De plus le seul dont je m'occupe réellement est Arfooo, je n'ai pas bcp de temps travaillant pour en entreprise...

Bref si des failles existent, il y aura tjrs des personnes pour les exploiter de x façons et ce n'est pas nouveau malheureusement.

Cordialement,
Arf

[Annubel]

Pourais t'on avoir l'url du site en question ?

Facile d'accusé sans donner les moyen de ce défendre...


merci

[aras]

Pourais t'on avoir l'url du site en question ?

Sachant que Zarol est venu posté ici, si il veut donner l'url, il le fera, moi je ne me permet pas.

Facile d'accusé sans donner les moyen de ce défendre...

Oui très facile, ça m'éclate !
Arrête un peu, je ne suis pas la pour prendre plaisir a accusé qui que ce soit !

Je ne fait pas parti des gens qui cherche querelle, bien au contraire ! J'ai passé beaucoup de mon temps a aider les membres Freeglobes a l'époque ou arfooo n'existait pas. Je connais très bien Arf de cette époque là jusqu'à aujourd'hui et admire son travail, je ne serai pas là sinon alors arrêtez de croire que c'est une chasse a la sorcière.

Arf, en effet peut être es-ce quelqu'un de las bas qui cherche a te faire du tort !
Merci d'avoir apporter ton point de vue dans cette histoire. J'essaie de te tenir informé de l'évolution.

Merci.

Aras

[zarol]

Bonjour et merci à ceux qui m'ont donné des conseils pour protéger les différents accès.
Un forum est un lieu de débat et celui-ci est entre autres consacré au script Arfooo. Il n'est en aucun cas le lieu où doivent se régler des problèmes tels que celui-ci. Encore une fois je n'aurais pour ma part pas même ébruité cette affaire.
Si j'avais considéré qu'une ou plusieurs personnes avaient du être atteintes par certaines allusions j'aurais pris soin de les contacter personnellement (et donc en privé) pour leur communiquer les différents éléments en ma possession et qu'elles puissent s'en expliquer ou les utiliser pour se défendre.
J'attends simplement du ou des coupables des excuses (personnelles, pas publiques), les informations sur la vulnérabilité du script pour que je puisse (sans révéler l'identité de la personne qui m'aurait fourni ces éléments) en faire bénéficier toute la communauté: nous avons tous un intérêt à ce que chacun de nos annuaires gérés par un script ou un autre soit le moins vulnérable possible et je sais que je ne suis pas le seul ici à gérer à la fois des annuaires sous Arfooo et des annuaires sous freeglobes par exemple...
Enfin, puisque l'auteur semble avoir pas mal d'imagination (compte tenu de la façon dont l'intrusion s'est faite) je lui laisserai le soin de me proposer lui-même une réparation même symbolique. On en resterait là et le "problème" serait réglé de personne à personne.
En revanche si personne ne me contacte je serai obligé d'aller jusqu'au bout et de dépenser encore plus d'argent et de temps pour faire valoir mes droits et les conséquences seraient beaucoup plus lourdes pour l'auteur ou les auteurs des méfaits (je précise que j'ai tous les éléments pour les identifier).
Bon week-end à tous et longue vie au script Arfooo qui est un très bon script.

[Arf]

Bonjour,

J'ai déjà contacté Vanadium concernant les problèmes de sécurité pour qu'ils puissent faire une mise à jour de son script.
Il ne l'a pas fait, si je parle des modifications à effectuer sur le forum freeglobes public, la majorité ne mettra pas à jour son annuaire, n'étant pas une mise à jour officielle, par conséquent cela peut créer plus de problème que de solution... et c'est pour cela que je reste vague concernant le problème pour ne pas donner d'indice au black hat qui rode...

[bzbz]

en parlant de ça arf, ça serait peut être bien que les tutos soit validés quand ils touchent aux scripts. Pas sur le fait qu ' ils fonctionnent ou pas mais au niveau sécurité.
On pourrait par exemple épinglé à partir du moment où ça a été verifié?
Peut être que tu regardes déjà?

[thomasc]

Hahaha la grosse blague, l'huissier et les poursuites
Bon courage et surtout garde la foi c'est beau de voir que tu arrive encore à croire qu'un hacker ne va pas utiliser de proxy ou autre astuce pour commettre ses méfaits et être intracable. En tous les cas c'est l'huissier qui va être content, lui il sera payé
Pour le futur: utiliser Arfooo et non freeglobes, c'est peut etre aussi le message qu'a voulu faire passer le hacker.
Moi je n'ai pas eu besoin de ça, depuis plus d'un an j'avais regardé freeglobes et arfooo, et meme si il manquait encore quelques trucs à arfooo par rapport à freeglobes, j'ai bien sentit qu'il y avait un meilleur potentiel car freeglobes n'était deja plus mis à jour depuis un moment, autant monter dans un train qui roule !

[ratalock]

Quelqu'un y est entré en admin

Ca me fait penser à ça :

Faille XSS corrigée / XSS Vulnerability Fixed [...]
Un forumeur m’a signalé s’être fait hacker son annuaire en m’indiquant la faille, j’ai donc corrigé la faille.
Elle se situe au niveau des keywords (recherches enregistrées) et permet à une personne mal intentionnée d’executer du code javascript sur votre machine. Ce genre de code récupère en général le contenu de vos cookies.
Les cookies Freeglobes ne contiennent que des données cryptées, donc la personne ne pourra pas deviner votre mot de passe admin par exemple. Cependant, elle peut recréer le même cookie sur sa machine et se connecter à votre place dans l’administration.

Source : http://www.freeglobes.net/71/faille-xss ... lity-fixed

Y'en a qui essayent de tirer le sujet : http://forum.freeglobes.net/viewtopic.php?id=3528

Arf je pense que l'on peut donner des préco pour sécuriser en restant assez vague et sans donner la recette pour hacker : striptags après tout formulaire, stripslashes avant insertion dans la base, etc...